tiedonsiirrot - henkilötietojen käsittely - kiireellinen menettely

Säädösperusta:	EU:n yleisen tietosuoja-asetuksen mukainen päätös
Antopäivä:	25.09.2023
Diaarinumero:	add 7732/161/23

Asia

Tiedonsiirtojen kieltämisestä ja keskeyttämisestä annetun väliaikaisen päätöksen poistaminen.

Rekisterinpitäjät

Ridetech International B.V. (Yango-taksipalvelusovellus)

Yandex LLC

Asian tausta

Tietosuojavaltuutettu määräsi päätöksessään 4.8.2023 Yango-taksipalvelun palveluntarjoajan Ridetech International B.V.:n ja Yandex LLC:n tilapäisesti keskeyttämään Yango-sovelluksen käyttäjiä koskevien henkilötietojen siirron Venäjän federaatioon, kunnes asia on lopullisesti ratkaistu.

Päätöksen mukaan käsittelykielto henkilötietojen siirtämiseksi ja määräys tiedonsiirto-jen keskeyttämisestä tulevat voimaan 1.9.2023 alkaen. Päätöksessä määrättiin myös, että rekisterinpitäjien on noudatettava tiedonsiirtojen keskeyttämistä koskevaa määräystä muutoksenhausta huolimatta. Lisäksi päätöksessä määrättiin rekisterinpitäjän toimittamaan tietosuojavaltuutetun toimistolle 25.8.2023 mennessä tieto siitä, mihin toimenpiteisiin se on ryhtynyt kyseisen päätöksen johdosta. Lisäksi rekisterinpitäjille varattiin mahdollisuus toimittaa myös muita tietoja, joiden se katsoo vaikuttavan kyseisessä päätöksessä esitettyyn arvioon.

Rekisterinpitäjät ovat toimittaneet tietosuojavaltuutetun toimistolle selvitystä Venäjän federaatiossa voimaan tulleen taksilain soveltuvuudesta sen toimintaan. Tietosuojavaltuutettu katsoi, että saatu lisäselvitys vaati perehtymistä aineistoon ja sen arviointia, onko lisäselvityksellä vaikutusta kiireellisessä menettelyssä annettuun väliaikaiseen päätöksen tai asian jatkokäsittelyyn. Hallintolain 53 §:n 1 momentin mukaan viranomainen voi kieltää päätöksen täytäntöönpanon toistaiseksi tai määrätä sen keskeytettäväksi. Tietosuojavaltuutettu määräsi päätöksen täytäntöönpanon keskeytettäväksi 26.9.2023 saakka.

Saatu selvitys

Rekisterinpitäjät ovat toimittaneet tietosuojavaltuutetun toimistoon 25.8.2023 mennessä erinäistä selvitystä.

Ridetech International B.V.:n toimittama selvitys

Ridetech International B.V. on toimittanut tietosuojavaltuutetun toimistoon 16.8.2023 selvityksen, jossa se tuo esille näkemyksensä Venäjän taksilainsäädännön soveltuvuudesta toimintaansa. Ridetech International B.V. on pyytänyt asiasta lausunnon asianajotoimistolta. Selvityksen mukaan Venäjän federaatiossa voimaan tullut taksilaki ei sovellu Yangon kansainväliseen taksinvälitystoimintaan, eikä sovelluksen käyttäjiin, jotka tekevät matkoja sovelluksella Venäjän ulkopuolella. Selvityksen mukaan taksilaki soveltuu ainoastaan taksitoimintaan, jota suoritetaan Venäjän federaatiossa Venäjälle rekisteröityjen oikeushenkilöiden toimesta. Ollakseen laissa tarkoitettu taksinvälitystoimija yhtiön on sijaittava Venäjällä. Ridetech International B.V. ei ole venäläinen oikeushenkilö, eikä taksilaissa säädettyjä viranomaisten tiedonsaantioikeuksia näin ollen sovelleta sen toimintaan. Selvityksen mukaan taksilaki ei aseta vaatimuksia ulkomaalaiselle yritykselle, joka säilyttää tietoja Venäjällä Venäjän ulkopuolella tehdyistä matkoista.

Ridetech International B.V. on 25.8.2023 toimittanut tietosuojavaltuutetun toimistoon 25.7.2023 laaditun arvioinnin henkilötietojen siirtojen vaikutuksista. Vaikutustenarvioinnissa on otettu huomioon Venäjän federaatiossa voimaan tuleva taksilaki. Vaikutustenarvioinnissa on todettu, että taksilaki ei sovellu Venäjälle siirrettyihin Yango-sovelluksen käyttäjien tietoihin.

Yandex LLC.:n toimittama selvitys

Yandex LLC on toimittanut tietosuojavaltuutetun toimistoon 16.8.2023 selvityksen, jossa se tuo esille näkemyksensä Venäjän taksilainsäädännön soveltuvuudesta toimintaansa. Selvityksen mukaan Yango-sovelluksen yhteydessä tapahtuva käyttäjien rekisteröityminen tapahtuu erillisen Yandex ID-palvelun kautta. Tiedot säilytetään Venäjällä. Selvityksessään Yandex LLC toteaa olevansa Yandex ID -todennuspalvelun tarjoaja. Yandex LLC:n mukaan Venäjällä voimaan tullutta taksilakia ei sovelleta sen toimintaan, sillä taksilakia sovelletaan taksinvälityspalveluihin, eikä Yandex LLC ole taksinvälityspalveluntarjoaja.

Asiantuntijalausunto

Tietosuojavaltuutettu on pyytänyt 14.9.2023 asiantuntijalausunnon Venäjällä voimassa olevan taksilainsäädännön soveltumisesta Yango-sovelluksen yhteydessä kerättäviin tietoihin. Lausunto perustuu Venäjän taksilainsäädännön kielelliseen ja systemaattiseen tulkintaan. Taksilain ja -asetuksen soveltamisalan osalta lausunnossa todetaan, että taksilain ja -asetuksen soveltamisala rajoittuu Venäjän alueella harjoitettavaan henkilöiden ja tavaroiden kuljettamiseen tarkoitettuun taksitoimintaan, mukaan lukien taksien välityspalveluiden tarjoamiseen. Venäjän ulkopuolella tapahtuva taksinvälitystoiminta jää siten Venäjällä voimassa olevan taksisääntelyn soveltamisalan ulkopuolelle.

Lausunnossa todetaan, ettei taksilain alueellista soveltamisalaa ole erikseen nimenomaisesti määritelty. Laissa ei ole myöskään säädetty Venäjän federaation alueen ulkopuolella harjoitettavasta taksitoiminnasta tai taksien välityspalvelusta taikka näiden yhteydessä tapahtuvasta – Venäjällä osin suoritettavasta – tietojenkäsittelystä. Lausunnonantaja toteaa olevan selvää, ettei Venäjän lainsäädännöllä ole mahdollisuutta velvoittaa ulkomaille sijoittautuneita ja siellä toimivia yrityksiä keräämään ja antamaan tietoja Venäjän turvallisuusviranomaisille, vaan asianomaisen maan lainsäädännöstä riippuu, onko tietoja mahdollista saada. Taksilaissa on erikseen säädetty siitä, että kansainvälinen taksiperusteinen henkilö- ja tavaraliikenne määräytyy Venäjän kansainvälisten sopimusten mukaan. Taksilaki ei sisällä muita säännöksiä ulkomailla harjoitettavasta tai maiden rajat ylittävästä taksitoiminnasta taikka siihen liittyvästä tietojenkäsittelystä.

Lausunnonantaja toteaa, että taksilain systemaattisen analyysin perusteella taksilain 14.7 §:ään perustuva viranomaisten tiedonsaantioikeus koskee vain Venäjän alueella harjoitettavan taksien välityspalvelun yhteydessä kerättyjä ja saatuja henkilötietoja. Taksilakia sovelletaan Venäjän alueella harjoitettavaan taksitoimintaan. Lain mukaan taksien välityspalvelun tulee olla rekisteröitynyt alueelliseen rekisteriin. Lisäksi taksilaki asettaa Venäjän alueella harjoitettavan taksitoiminnan yhteydessä kerättyjen ja saatujen tietojen käsittelyyn liittyviä velvoitteita. Taksilain nojalla annetun taksiasetuksen soveltamisala määräytyy vastaavasti.

Lausunnon mukaan yksittäisten lainsäännösten pistemäinen tarkastelu taas johtaa sattumanvaraiseen tulkintaratkaisuun. Taksilain viranomaisen tiedonsaantioikeutta koskevan säännöksessä taksin välityspalvelulle asetetaan velvoite avata viranomaisille pääsy taksitilausten vastaanottamiseen, säilyttämiseen, käsittelyyn ja välittämiseen tarkoitettuihin tietojärjestelmiinsä ja tietokantoihinsa. Sen perusteella viranomaisilla vaikuttaa olevan rajoittamaton oikeus kaikkeen lain mukaisiin käyttötarkoituksiin liittyvään tietoon. Lausunnossa todetaan oikeuskirjallisuuteen viitaten, ettei yksittäisen säännöksen tai yksittäisten säännösten pistemäistä tulkintaa voi täysin sulkea pois, vaikka se merkitsisi virheellistä laintulkintaa (Ks. O. D. Ovshinnikova – A. M. Shaganyan, Some problems of interpretation of norms of law, Istoriko-teoreticheskie issledovaniya gosudarstva i prava 2017 N 4 (83), s. 24–25). Venäjän viranomaisilla on perustuslain (12.12.1993) 15.2 §:ään perustuva velvoite noudattaa perustuslakia ja muita lakeja. Venäjän julistautuu oikeusvaltioksi, jonka perustavanlaatuisiin edellytyksiin kuuluu, että viranomaisten toimivalta perustuu lakiin ja toiminnassa muutoin noudatetaan lakia. Taksilain säännösten pistemäinen tulkinta merkitsisi lähtökohtaisesti toimivallan ylitystä ja mielivaltaista puuttumista ulkomailla liiketoimintaa harjoitettavien venäläisten yritysten toimintaan.

Mikäli venäläinen viranomainen tulkitsisi olevansa taksilain ja -asetuksen nojalla toimivaltainen saamaan myös eurooppalaisia käyttäjiä koskevia tietoja, tietojen säilyttäminen Venäjällä avaa venäläisille viranomaisille pääsyn eurooppalaisia käyttäjiä koskeviin tietoihin. Tällöin olisi lausunnonantajan mukaan kuitenkin kyse laintulkinnasta, joka olisi vastoin taksilain systemaattista tulkintaa.

Tietosuojavaltuutetun päätös ja perustelut

Tietosuojavaltuutettu on tutustunut saamaansa selvitykseen. Selvityksen mukaan Venäjän federaatiossa 1.9.2023 voimaan tullutta taksilainsäädäntöä ei sovelleta Venäjän ulkopuolella tapahtuvaan taksinvälitystoimintaan. Näin ollen taksilaissa ja -asetuksessa säädettyä Venäjän federaation kansallisen turvallisuuspalvelun rajoittamatonta pääsyä taksimatkustajien henkilötietoihin ei lähtökohtaisesti sovelleta Yango-sovelluksen yhteydessä käsiteltävien suomalaisten taksimatkustajien tietoihin. Saadun selvityksen perusteella tietosuojavaltuutettu katsoo, että Venäjällä voimaan tullut taksilaki ei vaaranna vakavasti rekisteröityjen perusoikeuksia ja -vapauksia Suomessa.

Tietosuojavaltuutettu katsoo, että saadun selvityksen myötä yleisen tietosuoja-asetuksen 66 artiklan tarkoittamat poikkeuksellisten olosuhteiden ja kiireellisten toimenpiteiden tarvetta koskevat vaatimukset eivät enää täyty ja asian käsittely yleisen tietosuoja-asetuksen 66 artiklan mukaisessa kiireellisessä menettelyssä päätetään. Tietosuojavaltuutetun toimiston saaman asiantuntijalausunnon mukaan on kuitenkin mahdollista, että taksilakia sovelletaan Venäjällä virheellisesti. Tietosuojavaltuutettu katsoo, että vaikka edellytyksiä kiireellisen menettelyn jatkamiselle ei ole, korostaa tämä asiantuntijaselvityksessä ilmi tullut seikka tiedonsiirtoja koskevan kysymyksen edelleen tutkimisen ja arvioimisen merkitystä tietosuoja-asetuksen 60 artiklan mukaisessa menettelyssä.

Hallintolain 50 §:n 1 momentin 4 kohdan mukaan viranomainen voi poistaa päätöksensä ja ratkaista asian uudelleen, jos asiaan on tullut sellaista uutta selvitystä, joka voi olennaisesti vaikuttaa päätökseen.

Tietosuojavaltuutettu poistaa 4.8.2023 tehdyn kiireellisessä menettelyssä tehdyn väliaikaisen päätöksen hallintolain 50 §:n 1 momentin 4 kohdan nojalla. Väliaikaisella päätöksellä annettu käsittelykielto ja määräys tiedonsiirtojen keskeyttämisestä eivät tule voimaan.

Päätöksen poistamista koskeva asia on käsitelty tietosuojavaltuutetun toimiston seuraamuskollegion kirjallisessa menettelyssä 25.9.2023.

Asian jatkokäsittely ja siinä huomioitavat seikat

Asian käsittely tietosuoja-asetuksen 60 artiklan mukaisessa kiireellisessä menettelyssä päättyy. Toimivaltainen viranomainen voi jatkaa asian tutkintaa. Tietosuojavaltuutettu jatkaa tiivistä yhteistyötä Hollannin ja Norjan tietosuojaviranomaisten kanssa.

Henkilötietojen käsittelyä koskeva asia, jolla on vaikutuksia useamman jäsenvaltion (ja ETA-maan) alueella käsitellään yleisen tietosuoja-asetuksen artiklan 60 mukaisessa niin kutsutussa yhteistyömenettelyssä. Johtava valvontaviranomainen määräytyy sanotussa menettelyssä rekisterinpitäjän 4 artiklan 16 alakohdassa määritellyn päätoimipaikan mukaan.

Yango-sovelluksen palveluntarjoajana Euroopan talousalueella toimii Alankomaihin sijoittunut Ridetech International B.V. Johtavana valvontaviranomaisena Ridetech International B.V.:tä koskevissa asioissa toimii Alankomaiden valvontaviranomainen Autoriteit Persoonsgegevens. Muut asian käsittelyyn ja päättämiseen 60 artiklan mukaisessa menettelyssä osallistuvat valvontaviranomaiset ovat tietosuoja-asetuksen 4 artiklan 22 kohdan määritelmän mukaisia osallistuvia valvontaviranomaisia. Tietosuojavaltuutettu on asiassa osallistuva valvontaviranomainen.

Siltä osin kuin on kyse Venäjän federaatioon sijoittautuneen Yandex LLC:n suorittamasta henkilötietojen käsittelystä, tietosuoja-asetuksen 60 artiklan mukaista yhteistyömenettelyä ei sovelleta ja tietosuojavaltuutettu on yleisen tietosuoja-asetuksen 3 artiklan 2 kohdan ja 58 artiklan nojalla toimivaltainen viranomainen.

Sovelletut lainkohdat

Päätöksessä mainitut.

Muutoksenhaku

Tietosuojalain (1050/2018) 25 §:n mukaan tähän päätökseen voi hakea muutosta valittamalla hallinto-oikeuteen noudattaen mitä laissa oikeudenkäynnistä hallintoasioissa (808/2019) säädetään. Valitus tehdään Helsingin hallinto-oikeuteen.

Tiedoksianto

Päätös annetaan tiedoksi hallintolain (434/2003) 60 ja 63 §:n mukaisesti.

Lisätietoja tästä päätöksestä

Ylitarkastaja Meeri Blomberg

Päätöksen on tehnyt tietosuojavaltuutettu Anu Talus.